am 18. Oktober wurde die neueste Version von Windows Intune freigeschaltet. Dies erfolgte zusammen mit System Center 2012 R2 Configuration Manager als auch Windows Server 2012 R2. Diese drei Komponenten ermöglichen es Unternehmen alle Geräte aus einer einheitlichen und zentralen Infrastruktur heraus zu verwalten. Nicht nur Windows PCs, auch Windows RT und alle mobilen Geräte wie Windows Phone, iOS und Android. Und dies unabhängig ob die Geräte an die Unternehmensinfrastruktur angebunden sind oder nicht (domain-joined).

In der Kombination von Windows Intune und System Center 2012 R2 Configuration Manger wurden die Möglichkeiten der Konfiguration der Plattformen noch einmal erweitert mit z.B. einem konsistenten Unternehmensportal zur Verteilung von Applikationen und Apps, der Möglichkeit Zertifikate zu verteilen und VPN sowie WiFi Profilen.

Mehr Informationen zur People Centric IT finden Sie auch auf unserem Server and Tools Blog.

Sie wollen gleich durchstarten, besuchen Sie dazu unsere Windows Intune Seite und starten Sie mit einer Trial. Benutzern von Office 365 sei dabei gesagt, dass alle vorbereitenden Arbeiten wie Benutzeranlage nicht noch einmal gemacht werden müssen, einfach mit dem dazugehörenden Administratoraccount anmelden und schon geht es los.

Vielen Dank fürs Lesen!
Ihr Windows Intune Team Deutschland

nachdem wir uns in einem der letzten Blogartikel um die Grundeinrichtung unserer Windows Intune Umgebung gekümmert haben und nun in der Lage sind auch mobile Geräte einzubinden, will ich sie heute durch die Schritte für iOS Geräte führen.

Schritt 1, Apple Push Notification Service Zertifikatsanforderung herunterladen

Klicken sie in Verwaltung, Verwaltung mobile Geräte, iOS in den Aufgaben auf APNS-Zertifikat hochladen

Anschließend klicken sie auf APNS-Zertifikatsanforderung herunterladen

Speichern sie die Anforderungsdatei (*.csr) auf der lokalen Platte, wir brauchen diese gleich in Schritt 2

Schritt 2, Apple Push Notification Service Zertifikat anfordern

Um Apple iOS Geräte Direkt managen zu können benötigt Windows Intune ein Apple Push Notification Service Zertifikat. Gehen sie dazu auf das Apple Push Certificates Portal, loggen sie sich mit Ihrer Apple ID ein und erzeugen sie ein Zertifikat indem sie im folgenden Dialog die Anforderungsdate aus Schritt 1 auswählen.

Klicken sie auf Upload und kurze Zeit später bekommen Sie eine Bestätigung.

Durch Klick auf Manage Certificates können Sie Ihre Zertifikate verwalten, erneuern oder auch löschen. Und natürlich auch das Zertifikat herunterladen (*.pem). Ein Zertifikat läuft immer auf 1 Jahr und muss dann erneuert werden – Achtung.

Schritt 3, Apple Zertifikat hochladen

Laden sie nun durch Klick auf APNS-Zertifikat hochladen das Zertifikat auf ihre Windows Intune Umgebung / ihren Mandanten.

Suchen sie nach dem Zertifikat und geben sie ihre Apple-ID ein

Wieder zurück in der Windows Intune Adminkonsole sieht das ähnlich dieser Abbildung aus

Schritt 4, sie können nun Ihre iOS Geräte in Windows Intune registrieren

Hilfreiche Links zu diesem Thema

• Windows Intune auf TechNet: http://technet.microsoft.com/en-us/library/hh456367.aspx
• Windows Intune Getting started Guide (englisch): http://technet.microsoft.com/en-us/library/hh441719.aspx
• Windows Intune Getting Started Guide Download: http://www.microsoft.com/en-us/download/details.aspx?id=26706
• Windows Intune Planning and Requirements for iOS (englsich): http://technet.microsoft.com/library/jj733665.aspx
• Apple Push Notification Service Zertifikat beantragen: http://go.microsoft.com/fwlink/?LinkId=269844

Vielen Dank fürs Lesen!
Ihr Windows Intune Team Deutschland

nachdem wir uns in einem der letzten Blogartikel um die Grundeinrichtung unserer Windows Intune Umgebung gekümmert haben und nun in der Lage sind auch mobile Geräte einzubinden, will ich sie heute durch die Schritte für Windows RT Geräte führen.

Für Windows RT Geräte sind keine weiteren Schritte notwendig, daher hier nur ein paar Hinweise.

Sollten sie keinen eigenen überprüften Domänennamen verwenden, so kann beim Hinzufügen des Windwos RT Geräts der sogenannte Enrollment-Server nicht aufgelöst werden. Der Benutzer muss die folgende Adresse angeben: enterpriseenrollment-s.manage.microsoft.com

Sollen auf Windows RT Geräte ebenfalls Apps verteilt werden so benötigen sie einen sogenannten Sideload-Schlüssel die sie über ihren Volumenslizenzvertrag erhalten. Mehr Informationen dazu hier: http://technet.microsoft.com/en-us/library/hh852635.aspx



Hilfreiche Links zu diesem Thema

• Windows Intune auf TechNet: http://technet.microsoft.com/en-us/library/hh456367.aspx
• Windows Intune Getting started Guide on TechNet (englisch): http://technet.microsoft.com/en-us/library/hh441719.aspx
• Windows Intune Getting Started Guide Download: http://www.microsoft.com/en-us/download/details.aspx?id=26706
• Windows Intune Planning and Requirements for Windows RT (englisch): http://technet.microsoft.com/en-us/library/jj733658.aspx

Vielen Dank fürs Lesen!
Ihr Windows Intune Team Deutschland

ich wünsche ihnen allen ein gesundes und erfolgreiches Jahr 2013.

Im Folgenden möchte ich gerne auf Punkte eingehen die in unseren Kundengesprächen häufig thematisiert werden.

Die wichtigsten direkten Verknüpfungen

• Direkter Zugriff auf das Windows Intune Kontoportal: http://account.manage.microsoft.com/
• Direkter Zugriff auf die webbasierte Windows Intune Verwaltungskonsole: http://admin.manage.microsoft.com/
• Direkter Zugriff auf das Windows Intune Unternehmensportal (Benutzer Self-Service): http://portal.manage.microsoft.com/
• Windows Intune Getting Started Guide, versch. Sprachen: http://www.microsoft.com/en-us/download/details.aspx?id=26706
• Der Guide ist Stand Januar 2013 noch nicht für jede Sprache verfügbar
• Windows Intune auf TechNet: http://technet.microsoft.com/en-us/library/hh456367.aspx
• Die neue Heimat für die gesamte Dokumentation zu Windows Intune, zusätzliche zu http://onlinehelp.microsoft.com/en-us/windowsintune.latest/hh850598.aspx

Ist meine Version wirklich Wave D?

Gehen sie dazu in der Verwaltungskonsole auf Verwaltung und schauen Sie, ob die Versionnummer mindestens 4.0.10710.0 ist.

3. Benutzer einrichten

Nachdem sie sich die Trial-Umgebung eingerichtet haben (www.windowsintune.com) gibt es einen aktiven Benutzer im Kontoportal. Bisher war es so, dass dieser Benutzer automatisch auch in der Gruppe der Windows Intune Benutzer war. Da aber immer häufiger Office 365 Administratoren auch Windows Intune testen und einsetzen, wird in der neuen Version (also seit dem 17. Dezember 2012 – die sogenannte Wave D) der Administrator nicht mehr automatisch ein Intune Benutzer und kann somit zuerst einmal “nur” zur Administration verwendet werden.

Richten sie nun weitere Benutzer ein und weisen ihnen eine Intune Lizenz zu. Innerhalb weniger Minuten werden diese zu Windows Intune repliziert und sind in der Verwaltungskonsole sichtbar.

Es besteht keine Notwendigkeit weitere Benutzer als Administratoren anzulegen. Ich empfehle aber zumindest einen weiteren “Globalen Administrator” Account.

Autorität zur Verwaltung mobiler Geräte festlegen

In der Systemübersicht der Verwaltungskonsole unter “Erste Schritte” finden sie den Hinweis, dass die “Autorität für die Verwaltung mobiler Geräte” festgelegt werden muss, bevor mobile Geräte wie Windows RT, Windows Phone 8 oder iOS, zu Windows Intune hinzugefügt werden können.

Durch anklicken des Links “Autorität und Kanäle für die Verwaltung mobiler Geräte einrichten” werden sie zur Verwaltung mobiler Geräte weitergeleitet.

Klicken sie nun rechts auf “Autorität für die Verwaltung mobiler Geräte festlegen”. Nun erscheint folgendes Fenster.

Durch den Klick auf “Ja” ist Windows Intune als primäre Verwaltungumgebung für mobile Geräte festgelegt. Sie müssen nun noch die jeweiligen gerätespezifischen Konfigurationen ausführen. Dazu mehr in einem eigenen Blogeintrag.

Zur Konfiguration von Windows Intune zusammen mit System Center Configuration Manager 2012 SP1 wird es ebenfalls einen Blogeintrag geben.

Hilfreiche Links zu diesem Thema

• Planungsübersicht “Direct Management”: http://technet.microsoft.com/library/jj733623.aspx
• Hilfe zum Festlegen der Autorität: http://technet.microsoft.com/library/jj733676.aspx
• Übersicht zur den Möglichkeiten “Direct Managed” bzw. “Exchange Active Sync Managed”: http://technet.microsoft.com/library/jj662631.aspx

Vielen Dank fürs Lesen!
Ihr Windows Intune Team Deutschland

• System Center 2012 Configuration Manager Service Pack 1
• Zusammenarbeit von Windows Intune und der System Center Configuration Manager Konsole
• Windows RT und Windows Phone 8 Management
• Windows Intune Lizenzänderungen
• Support für das Management von Windows Embedded Geräten

System Center 2012 Configuration Manager Service Pack 1 (SP1)

Seit der Einführung von System Center 2012 im April 2012 wurde das Produkt sehr gut im Markt angenommen. Sehr viel Organisationen haben es bereits implementiert oder sind gerade dabei es zu implementieren um zum einen der weiter fortschreitenden ‘Consumerization’ Rechnung zu tragen, als auch der Einhaltung von Firmenrichtlinien und Kontrolle. Während der letzten Monate haben wir unsere Pläne für das SP1 genauer spezifiziert und sind nun in der Lage die Beta des SP1 unter folgendem Link im Microsoft Download Center zur Verfügung stellen zu können.

Dieser Blog Post fokussiert auf den neuen Möglichkeiten des SP1 sowie den neuen Funktionen in Windows Intune. Für mehr Informationen zu Datacenter und Cloud Management Möglichkeiten des SP1 schauen Sie sich diesen Blog Post an.

Configuration Manager SP1 Erweiterungen:

• Einsatz und Management von Windows 8 und Windows Server 2012
• Distribution point für Windows Azure um Infrastrukturkosten zu reduzieren
• Automation von administrativen Aufgaben durch den Einsatz von Powershell
• Management von Mac OS X Geräten und Linux und UNIX Servern

Eine der herausragenden Neuerungen von Windows 8 sind dessen Apps. ConfigMgr 2012 SP1 erlaubt es diese Apps auszubringen und auch entsprechen auf neuestem Stand zu halten, neben der bereits bekannten Funktion dies auch für Native und Virtualisierte Applikationen zu tun. SP1 unterstützt das Deployment und Management von Windows to Go USB Geräten als auch das Management der neuen Windows 8 Möglichkeiten zum client-side caching, Roaming-user-profile sowie Ordnerumleitung . SP1 von ConfigMgr 2012 Beta wird es auch ermöglichen 3G oder 4G Netzwerkverbindungen zu erkennen um zu verhindern, dass beispielsweise eine Software verteilt wird wenn dadurch kosten entstehen könnten.

Zusammenarbeit von Windows Intune mit der System Center Configuration Manager Konsole

Die Ausbreitung von mobilen Geräten stellt eine große Herausforderung für Unternehmen jeder Größe dar und diese Geräte laufen sehr oft mit unterschiedlichen Betriebssystemen. Mit dem Konzept von Bring Your Own Device (BYOD) ist es wahrscheinlich, dass diese Geräte dem Mitarbeiter gehören und kontrolliert werden und man klassisches Management wie bei einem Unternehmens PC nicht anwenden kann. Diese Geräte sind typischerweise auch nicht ins Unternehmensnetzwerk eingebunden und nutzen stattdessen eine Verbindung ins Internet um eventuell auch auf Firmendaten zuzugreifen. Diese Herausforderungen benötigen eine flexible Umgebung um festlegen zu können welche Richtlinien auf welchen Geräten angewendet werden sollen und wie das jeweilige Gerät zu managen ist.

Microsoft bietet dazu zwei unterschiedliche Managementlösungen an – System Center 2012 Configuration Manager für alle ins Firmennetzwerk eingebundenen Geräte und Windows Intune für das Management aus der Cloud. Mit System Center 2012 Configuration Manager Service Pack 1 und der nächsten Version von Windows Intune wird Microsoft den ersten Schritt tun um eine Zusammenarbeit der beiden Umgebungen aus einer Konsole heraus anzubieten. Dies wird es unseren Kunden ermöglichen mobile Geräte aus der Cloud zusammen mit den klassischen Geräten im Unternehmensnetzwerk in einer Konsole, der von System Center 2012 Configuration Manager Service Pack 1, zu managen.

Unternehmen können aber natürlich auch weiterhin Windows Intune als Ihre alleinige Lösung, komplett aus der Cloud, nutzen um die PCs aber auch die mobilen Geräte zu verwalten. Die Zusammenarbeit ist ein großer Schritt für Unternehmen jeder Größe die Verwaltung aus einer Oberfläche zu bekommen.

Windows RT und Windows Phone 8 Management

Wenn Sie bereits System Center 2012 Configuration Manager im Einsatz haben wird SP1 und die nächste Version von Windows Intune Sie in die Lage versetzen die Verwaltung der zum Einsatz gebrachten Geräte zu erweitern um auch mobile Geräte aus der Cloud zu erreichen. Windows Phone 8 und Windows RT Geräte werden mit der nächsten Version von Windows Intune verwaltet. IT Pros werden in die Lage versetzt entweder Windows Intune oder ConfigMgr 2012 SP1 zu verwenden um Mobile Security Richtlinien zu setzen, um Mobile Apps zu verteilen und um Auswertungen über die Geräte zu sehen. Wir werden weitere Informationen veröffentlichen je näher wir dem Veröffentlichungszeitpunkt der nächsten Version kommen.

Windows Intune Lizenzänderungen

Um es Unternehmen zu ermöglichen für das Gerätemanagement Windows Intune und ConfigMgr 2012 einzusetzen wird sich das Lizenzmodell für die nächste Version verändern:

• Wir wechseln von einer “pro Gerät” zu einer “pro Benutzer” Lizenz. Jede Benutzerlizenz kann bis zu 5 verwaltete Geräte beinhalten.
• Es wird eine Windows Intune Benutzerlizenz geben die das Recht auf System Center 2012 Configuration Manager beinhaltet, dies ermöglicht Unternehmen für das Gerätemanagement entweder Windows Intune oder Configuration Manager einzusetzen – oder beide.
• Unternehmen die bereits System Center 2012 Configuration Manager Lizenzen haben, zum Beispiel über die Core CAL, werden Windows Intune zu einem verringerten Preis bekommen.
• Alle heute bereits mit Windows Intune verwalteten und lizensierten Geräte können auf Windows Enterprise upgraden solange das qualifizierende Betriebssystem eines der folgenden ist: Business, Professional, Ultimate oder Enterprise. Dies wird auch weiterhin so bleiben, aber wir werden auch eine Version von Windows Intune zur Verfügung stellen ohne das Recht auf Windows Enterprise, dies reduziert den Preis für Unternehmen die noch nicht in der Lage sind auf die neueste Version von Windows zu gehen.

Wir werden weitere Informationen dazu zu einem späteren Zeitpunkt veröffentlichen

Support für das Management von Windows Embedded Geräten

Mit Service Pack 1 von System Center 2012 erweitern sich die Fähigkeiten um Windows embedded thin clients, sog. Point-of-Sales(POS) Terminals, Kiosk PCs oder ThinPCs zu verwalten. Das heißt es können weitere Geräte von System Center 2012 Configuration Manager SP1 verwaltet werden ohne den Einsatz von zusätzlicher Software. Das bevorstehende Windows Embedded Standard 8, welches innerhalb von ca. 3 Monaten nach Windows 8 Verfügbarkeit kommen wird, wurde speziell für eine vereinfachte Verwaltung mit System Center 2012 Configuration Manager gebaut.

Nächste Schritte

Wenn Sie bereits System Center 2012 Configuration Manager einsetzen oder gerade zum Einsatz bringen – machen Sie so weiter. Mit der Verfügbarkeit können Sie zusätzlich in einer abgeschlossenen Umgebung bereits SP1 testen. Wenn Sie mit dem Einsatz noch nicht begonnen haben ermuntern wir Sie sich die Möglichkeiten von System Center 2012 Configuration Manager SP1 genau anzusehen.

Um die aktuelle Version von Windows Intune zu testen gehen Sie auf www.windowsintune.de bzw. www.windowsintune.com und testen Sie Windows Intune 30 Tage lang um sich von den Vorteilen überzeugen zu lassen. Windows Intune Partner finden Sie in Microsoft PinPoint 

System Center 2012 Configuration Manager SP1 und die nächste Version von Windows Intune werden früh in 2013 zur Verfügung stehen.

Vielen Dank fürs lesen!
Ihr Windows Intune Team Deutschland

Damit bildet es neben dem „Windows Intune Product Guide“, dem Neuerungsleitfaden „What’s New in Windows Intune“ (dessen Inhalt Sie auch hier in unserem Blog deutschsprachig einsehen können) und der Windows Intune-Onlinehilfe einen wichtigen Pfeiler der Erstinformationen zu Microsofts PC- und Mobilgeräte-Verwaltungslösung in der Cloud.

Der umfassende Themenreigen des 47-seitigen PDF-Dokuments lässt sich aus dem Inhaltsverzeichnis erschließen:

• Windows Intune June 2012 Release Getting Started Guide
  
  
• Configure Your Windows Intune Environment
• Signing up for Windows Intune
• Already Subscribing to Windows Intune?
• New to Windows Intune?
• Already using Active Directory Domain Services and Exchange Server?
• Features and Benefits of Windows Intune
• Client Software and Hardware Requirements
• Supported Browsers for Administrators and Users
• New and Enhanced Web-Based Tools for Administrators
• Getting Started with the Windows Intune Account Portal
• Getting Started with the Windows Intune Administrator Console
• Web-Based Portals to Provide Self-Service Capabilities for Users
• Getting Started with the Windows Intune Company Portal
• Getting Started with the Windows Intune Mobile Company Portal
• Administrator Roles
• Partners with Delegating Administration
• Partners managing customers on the Windows Intune October 2011 release
• Delegated Administration Partners for the Windows Intune June 2012 release
• Setting up Policies in the Windows Intune Administrator Console
• Next Steps
• See Also
  
  
• Add Computers, Users, and Mobile Devices to Windows Intune
• Planning for Endpoint Protection and Managed Computer Bandwidth Usage
• Adding Computers to Windows Intune
• Adding Windows Intune to Deployment Images
• Adding Users and Security Groups to Windows Intune
• Mobile Device Support
• User-to-Device Linking
• Enhancements to Groups
• Planning Considerations for Creating Groups
• Creating Device Groups to Organize Computers
• Creating User Groups to Organize Users
• Managing Updates and Automatic Approval Rules
• Setting Up Email Alert Notifications
• Next Steps
• See Also
  
  
• Assess the Health of Your IT Environment and Assist End Users
• Creating Custom Reports
• Exporting an Endpoint Protection Status Report
• Using Filters to Create a Report
• Creating Software Inventory Reports
• Working with Licensed Software
• Working with Remote Assistance
• Next Steps
• See Also

Den Leitfaden können Sie herunterladen unter der Adresse
http://www.microsoft.com/en-us/download/details.aspx?id=26706.

Weitere Ressourcen, die Ihnen zur Unterstützung mit Windows Intune kostenfrei zur Verfügung stehen:

• Kostenfreier 30 Tage-Test von Windows Intune
• Windows Intune-Support von Microsoft Online Services
• Deutschsprachiges Forum zu Windows Intune
• Englischsprachige Foren zu Windows Intune
• Windows Intune bei TechNet Deutschland
• Häufig gestellte Fragen (FAQs)

Die vielfältigen Neuerungen der aktuellen Version hatten wir Ihnen bereits in einer Artikelserie zum Pre-Release vorgestellt. Die auffälligste davon ist sicher die neue Mobile Device Management (MDM)-Unterstützung für Mobilgeräte, die Geräten mit Windows Phone, iOS ab Version 4 und Android ab Version 2.1 zukommt. Sie stützt den weiter wachsenden Trend zur Nutzung privater Endgeräte im Unternehmenseinsatz („Bring Your Own Device“) und bringt den zusätzlichen Ansatz einer anwender- statt gerätezentrischen Verwaltung mit sich. Doch auch das neue Unternehmensportal, die Self-Service-Funktionalitäten, das Bereitstellen von Richtlinien auch auf Geräten, individuellere Alarme und die weiteren Verbesserungen der Verwaltungskonsole sind wertvolle Zuwächse für Microsofts PC-Verwaltungslösung in der Cloud.

Bemerkenswert ist auch die Integration von Active Directory Domain Services (AD DS), die die Authentifizierung gegenüber dem Dienst nun deutlich vereinfachen, indem sie für angemeldete Nutzer eine gesonderte Anmeldung überflüssig machen, und von Windows Azure Active Directory, das denselben Authentifizierungsweg anbietet wie Microsoft Office 365 und andere Microsoft Online Services, die auch ohne Domänenanmeldungen gemeinsam über eine einzige ID („Single Sign-On“) angesprochen werden können.

Die offizielle Windows Intune-Unterstützung für Windows 8, das gegenwärtig noch im Status Release Preview steht, ist mit der Veröffentlichung der finalen Version von Windows 8 vorgesehen. Selbstverständlich steht dank der in Windows Intune enthaltenen Lizenz der jeweils neuesten Windows-Version (inkl. Downgrade-Rechten) zu diesem Zeitpunkt für alle Computer auch Windows 8 Enterprise selber zur Installation bereit.

Ab sofort erhalten Sie mit dem kostenfreien 30-Tage-Test für 25 Geräte oder Ihrem neuen oder bestehenden Abonnement des Dienstes die neueste, auf der TechEd freigegebene Version von Windows Intune.

Benutzern unterstützter Versionen von Microsoft Windows empfiehlt Microsoft, das Update sofort mithilfe von Updateverwaltungssoftware zu installieren oder mithilfe des Dienstes Microsoft Update auf Updates zu prüfen. 

Microsoft empfiehlt IT-Verantwortlichen, dieses kritische Update so schnell wie möglich zu genehmigen und bereitzustellen. Nutzen Sie unter Windows Intune eine automatische Genehmigung für kritische Updates, so sind Sie und Ihre Kunden und Mitarbeiter bereits geschützt und müssen weiter nichts unternehmen oder veranlassen.

Weitere Informationen erhalten Sie neben der ausführlichen Sicherheitsempfehlung auch in einem englischsprachigen Blogbeitrag des Security Response Centers zu diesem Problem sowie im Microsoft Knowledge Base-Artikel 2718704.

Rebecca Schickel: Hallo Herr Wigand, Sie sind ein Experte für Windows Intune. Was genau ist Windows Intune und welche Vorteile bietet es KMUs?

Ralf Wigand: Intune hat zuerst mal nichts mit einem ähnlich klingenden Service aus dem Musikbereich zu tun. Intune ist eine cloudbasierte Lösung für IT-Administratoren, um die immer komplexeren Anforderungen an das Management und die Sicherheit von verteilten PCs besser erledigen zu können. So beschreibt es Microsoft zumindest selbst. Intune erlaubt eine Inventarisierung von Soft- und Hardware, eine Update-Verwaltung, ein Antivirenmanagement und ein proaktives Systemmanagement sowie die Möglichkeit, aus der Ferne Unterstützung am PC zu leisten.

Für mich ist es vor allem eine hervorragende Möglichkeit für KMUs, die oft nur lose administrierten Clients mit einfachen Mitteln wieder einzufangen und in die Spur zu bringen. Denken Sie nur an all die Mitarbeiter, die oft unterwegs sind und sich meistens außerhalb des Firmennetzes aufhalten. Bis man die mit einer Management-Lösung mal wieder erreicht, vergehen im günstigsten Fall Tage, aber oft auch Wochen – für Sicherheitsupdates viel zu spät. Außerdem lohnt es sich oft nicht, eine komplexe Managementlösung aufzubauen, mit redundanten Servern, Sicherungen etc. Auch Direct Access ist eine prima Lösung, aber für viele kleinere Unternehmen zu aufwändig.

Für alle diese Fälle ist Intune hervorragend geeignet, in dem es die zentrale Management-Plattform in die Cloud verlegt.

Schickel: Wie funktioniert das dann?

Wigand: Die Clients reden mit dem Service in der Cloud, der Administrator ebenfalls, und schon ist keine direkte Kommunikation zwischen den Clients und dem Firmennetz mehr nötig. Sobald eine Internet-Verbindung besteht, werden entsprechend den von der IT-Abteilung vorgegebenen Richtlinien Überprüfungen und Aktualisierungen an diesen Clients vorgenommen, ohne einen einzigen von der IT zu pflegenden Server. Der Administrator greift einfach mit seinem Browser per  Web-Konsole auf die von den Intune-Clients gemeldeten Daten zu und sieht Benachrichtigungen zu Sicherheitswarnungen, Updates oder auch über drohende Probleme wie eine fast volle Festplatte. Diese Benachrichtigungen stehen unabhängig vom aktuellen Standort oder Zustand des Clients zur Verfügung, das heißt die IT erhält Informationen über den Client, basierend auf der letzten Meldung. Und auch bei Konfigurationsänderung oder Updateverteilung spielt es keine Rolle, ob der Client grade online ist– falls nicht, wird die anstehende Aktion in eine Warteschlange gestellt und beim nächsten Kontakt mit dem Client ausgeführt.

Schickel: Gibt es Ober- und Untergrenzen für die PC-Anzahl, die damit verwaltet werden können/sollten?

Wigand: Mit Intune lassen sich auch mehrere Tausend Clients verwalten, pro Abo liegt die Obergrenze bei 20.000. Ab einer gewissen Grenze sollte man aber dennoch über eine Managementlösung wie zum Beispiel die System Center-Produkte nachdenken, um einfach weitere Möglichkeiten nutzen zu können, die diese Produkte dann bieten.

Schickel: Wie bzw. durch wen lasse ich Windows Intune einrichten und verwalten? Läuft die Verwaltung meiner PCs dann über Microsoft oder Partner– und wer garantiert dann die Sicherheit meiner Daten?

Wigand: Man kann Intune über einen Partner beziehen bzw. direkt über die Microsoft Online Services Website. Hierzu ist lediglich ein Windows Live Account nötig, mit dem im weiteren Verlauf auch der Zugriff auf das Management-Portal authentifiziert wird. Die Installation auf dem Client selbst ist sehr einfach, und sobald sich der Client dann "in der Cloud" im zugewiesenen Bereich registriert hat, kann er durch eigene Administratoren verwaltet werden. Es besteht aber auch die Möglichkeit, bei Bedarf weitere Administratoren, zum Beispiel von seinem Partner, hinzuzunehmen. Der Administrator des Partners kann dann entsprechend der zugewiesenen Rechte eingreifen und die Clients administrieren. Microsoft selbst stellt nur den Dienst und die Infrastruktur zur Verfügung, verantwortlich für die Dienstverwaltung ist stets das eigene IT-Personal oder der Partner.

Schickel: Wie sehr kann ich mich auf die Cloud verlassen? Was passiert, wenn es Ausfälle gibt?

Wigand: Ausfälle der Cloud Services sind wesentlich unwahrscheinlicher als der Ausfall der eigenen Infrastruktur. Hier kommen weltweit verteilte, redundante Server und eine Hochverfügbarkeitsarchitektur (99,9%) zum Einsatz, verwaltet von Spezialisten. Und kommuniziert wird über sichere Protokolle (HTTPS etc). Und kann der Client einmal tatsächlich den Intune-Dienst nicht erreichen, dann läuft er dennoch weiter, und anstehende Änderungen werden beim nächsten Mal nachgeholt. Das ist mit Sicherheit immer noch schneller, als zu warten, bis der Client sich mal wieder im internen Firmennetz befindet.

Schickel: Inwieweit müssen sich meine Mitarbeiter mit Intune im Arbeitsalltag umstellen? Fühlen sich meine Mitarbeiter nicht à la Big Brother von mir überwacht?

Wigand: Die größte Umstellung beim Einsatz von Intune ist die ungewohnte Aktualität des Clients. Microsoft Updates werden zeitnah installiert, sobald der Administrator diese freigibt, und nicht erst beim nächsten Besuch in der Firma. Die Antiviren-Software ist stets aktuell, und auch Sicherheitsrichtlinien, also Firewall-Regeln etc., lassen sich rasch an alle Clients verteilen. Und mit der neuen Intune-Version lassen sich auch andere Software-Pakete über den gleichen Mechanismus verteilen.

An zentraler Stelle werden die Hardware- und Software-Bestände automatisch gesammelt und lassen sich hinsichtlich Lizenzen, Richtlinien (Compliance) etc. auswerten. Gleiches gilt für Benachrichtigungen zu Updates, Bedrohungen etc., also quasi alles, was sonst lokal im Wartungscenter auftaucht. Eine oft gehörte Befürchtung bei Intune ist, dass Microsoft mit der Bestandsermittlung der Software automatisch eine mögliche (und natürlich stets unbeabsichtigte) Unterlizensierung erkennen und entsprechend reagieren kann. Im Rahmen seiner Datenschutzbestimmungen für Online Services widerspricht Microsoft dem aber und stellt ganz klar, dass Microsoft die über Intune gesammelten Daten nicht dazu verwenden wird, diese gegen andere Verträge abzugleichen. Den eigenen IT-Administratoren bietet Intune natürlich die Möglichkeit, den Software-Bestand auf dem Client mit vorhandenen Compliance-Regeln abzugleichen, aber da diese Regeln ja meistens einen Grund haben, würde ich das eher als Vorteil sehen.

Schickel: Und bei der vorhin erwähnten Remote-Unterstützung? Behalte ich als PC-Nutzer auch die Kontrolle?

Wigand: Den Benutzern bietet sich über den Intune-Client jederzeit die Möglichkeit, eine Remote-Unterstützung anzufordern und dem Administrator zu gestatten, sich mit auf den Desktop zu schalten und Hilfe leisten zu können. Wichtig hierbei ist zu erwähnen, dass die Aktion vom Benutzer ausgehen muss, nicht vom Administrator. Möchte der Benutzer keine Remote-Unterstützung, dann kommt der Administrator auch nicht drauf.

Schickel: Kann ich meine aktuelle Antiviren-Software durch Intune ersetzen? Worin liegt der Unterschied zwischen Intune, dem Microsoft-Updatedienst und Windows Software Update Services?

Wigand: Ja, man kann auf seine bisherige Antivirensoftware getrost verzichten. Intune und Forefront Endpoint Protection verwenden übrigens die gleichen Module zur Erkennung und zum Schutz vor Schadsoftware, man setzt also quasi ein etabliertes und erprobtes Produkt ein. Man kann natürlich auch die alte Antivirensoftware weiterhin betreiben, wenn man das möchte, die Malware-Komponente von Intune deaktiviert sich dann selbst, um der alten Lösung nicht in die Quere zu kommen (und meldet dies selbstverständlich im Windows 7 Sicherheitscenter). Für Aktualisierungen der alten Antiviren-Software muss man dann natürlich die Lösung des entsprechenden Antiviren-Herstellers verwenden, die hoffentlich auch ein zentrales Management und ausführliche Berichte bietet, wie sie bei der Verwendung von Intune zur Verfügung stehen. Im Unterschied zum Windows Update-Dienst kann die IT-Administration an zentraler Stelle eingreifen und Updates freigeben oder zurückhalten, eine Möglichkeit, die sonst nur der Windows Software-Update-Service bieten würde, für den aber wieder der Betrieb eines Servers notwendig wäre. Sie sehen, auch hier schafft Intune Möglichkeiten, Services zu nutzen, ohne eigene Server verwalten zu müssen.

Schickel: Kann ich Intune nur in Verbindung mit Windows 7 verwenden? Müssen alle PCs auf dem gleichen Betriebssystem laufen?

Wigand: Obwohl generell sehr viele Gründe für den Einsatz von Windows 7 sprechen, für Intune muss man nicht alle Clients aktualisieren. Die Software läuft auch auf den älteren Clientbetriebssystemen von Microsoft, angefangen von Windows XP (da sollte es aber schon SP3 sein), über Vista (Enterprise, Business und natürlich Ultimate) bis hin zu Windows 7 Enterprise, Professional und Ultimate. Nebenbei gesagt – obwohl das gar nicht so nebenbei ist– bekommt man mit Intune zusätzlich eine Lizenz für ein Upgrade des verwalteten Clients auf die jeweils aktuellste Windows-Version, also momentan Windows 7 Enterprise, und kann so alle mit Intune verwalteten PCs auf ein einheitliches System aktualisieren, ohne weitere Lizenzkosten. Ist keine Pflicht, würde ich aber sehr empfehlen.

Schickel: Muss ich Windows Intune kaufen oder kann ich es abonnieren? Und wie läuft die Abrechnung im Abo, welche Bedingungen sind daran geknüpft?

Wigand: Intune gibt es im Jahresabo, ist flexibel anpassbar und wird monatlich abgerechnet. Zusätzlich kann man sich auch noch für einen geringen Aufpreis für den Bezug von MDOP, dem Desktop Optimization Pack entscheiden, der sonst nur über andere Lizenzprogramme erhältlich ist und weitere Features bietet wie zum Beispiel App-V (Anwendungs-Virtualisierung), erweiterte Gruppenrichtlinien-Verwaltung, das Diagnostic and Recovery Set usw. Die Abrechnungsmodalitäten sind sehr einfach und übersichtlich gehalten und bieten eine prima Basis, sein IT-Budget entsprechend planen zu können.

Schickel: Kann ich Intune auch erst einmal testen?

Wigand: Aber klar doch. 30 Tage Test für bis zu 25 Clients. Kostenlos. Einschließlich aller Features, also auch der Remoteunterstützung. Da sollten sich so ziemlich alle Szenarien einmal durchspielen lassen. Viel Spaß damit!

Herr Wigand, herzlichen Dank für das Gespräch!

Drei interessante Kurzvideos zum aktuellen Windows Intune April 2012 Pre-Release hat der ehemalige Microsoft-Mitarbeiter Mark O’Shea, inzwischen als freier Berater u. a. für Microsoft Australien tätig, unter dem Namen intunedin auf YouTube hinterlegt:

Mit ihrer Hilfe erhalten auch Selbstständige und Unternehmen, die nicht aktiv am Pre-Release partizipieren möchten, einige interessante Einblicke in die Oberfläche der Vorabversion.

Windows Intune April 2012 Pre-Release Sign Up
In diesem Video können Sie sich die einfachen Schritte zur Teilnahme am Pre-Release, die Sie auch in unserem Blog beschrieben finden, im englischen Ton und bewegten Bild zeigen lassen.

Windows Intune April 2012 Pre-Release Overview
Dieses Video bietet in knackigen 6 Minuten einen schnellen Überblick über die Neuigkeiten, die in der Vorabversion des kommenden Windows Intune-Release bereits funktionsfähig implementiert sind, und diskutiert auch die Aspekte, die erst mit der Fertigstellung des Produkts angeboten werden. Einen detaillierteren Überblick bieten wir Ihnen auch in unserer Blogserie „Update: Neues im Windows Intune April 2012 Pre-Release“

Windows Intune April 2012 Pre-Release Client Install and End User Portal
Die Installation der Clientsoftware für  das Windows Intune April 2012 Pre-Release sowie deren Voraussetzungen und einige Tipps dazu sind ebenso Thema dieses Videos wie die erste Anmeldung des Benutzers im neuen Unternehmensportal, während derer die angekoppelte Maschine mit dem als Benutzer zu registrierenden Hauptanwender des Computers assoziiert wird.